Incidentu reaģēšanas pārbaudes saraksts

1. Sagatavotība un lomas

Incidentu reaģēšanas plāns ir uzrakstīts un sasniedzams - Arī tad, kad tīkls un iekšējie dokumenti nav pieejami. Derīga ir izdrukāta vai atsevišķi glabāta kopija.
Ir nozīmēta persona, kas vada reaģēšanu - Tās pilnvaras, atbildība un aizvietotājs ir noteikti rakstiski.
Komandas lomas ir sadalītas pēc konkrētām atbildībām, nevis pēc nodaļām - Kurš izmeklē tehniski, kurš komunicē, kurš dod juridisko atbalstu un kurš pieņem lēmumu.
Kāds drīkst atvienot sistēmu no tīkla bez papildu saskaņošanas - Ja katrs izolēšanas solis prasa vadības apstiprinājumu, uzbrucējs strādā ātrāk par procesu.
Kontaktu saraksts ir aktuāls un pieejams ārpus mērķa sistēmām - Iekšējie, piegādātāji, uzraudzības iestādes un tiesībaizsardzība.
Ārējā atbalsta pieejamība ir sakārtota iepriekš - Izmeklēšanas pakalpojums, juridiskais atbalsts un sakari. Līgumu slēgt incidenta laikā ir lēni un dārgi.
Ir zināms, vai kiberrisku apdrošināšana pastāv un ko tā prasa - Daļa polišu prasa paziņot noteiktā termiņā un nemainīt sistēmas pirms apsekošanas.
Iespējamie scenāriji ir sakārtoti pēc ietekmes - Datu noplūde, datu šifrēšana ar izspiešanu, pakalpojuma pārtraukums un piegādātāja incidents prasa atšķirīgus soļus.

2. Atklāšana un pieteikšana

Sistēmu un tīkla notikumi tiek uzraudzīti nepārtraukti - Un ir zināms, kurš uz brīdinājumu reaģē ārpus darba laika.
Incidentu piesaka pa vienu zināmu kanālu - Divi kanāli nozīmē, ka daļa pieteikumu nesasniedz atbildīgo.
Darbinieki zina, kā un cik ātri pieteikt aizdomīgu notikumu - Pārbaudīts ar jautājumu darbiniekam, ne ar pieņēmumu, ka instrukcija ir izlasīta.
Ārējs ziņotājs var sasniegt organizāciju - Publicēta adrese ievainojamību un incidentu ziņošanai, ar atbildes termiņu.
Žurnāli aptver tās sistēmas, kur incidents visdrīzāk sāksies - Piekļuve, autentifikācija, tīkla robeža un administratora darbības.
Visu sistēmu laiks ir sinhronizēts pret vienu avotu - Bez tā notikumu secību starp diviem serveriem nevar pierādīt.
Viltus trauksmes tiek samazinātas, nevis ignorētas - Brīdinājums, ko neviens vairs neatver, ir tas pats, kas brīdinājuma trūkums.

3. Novērtēšana un klasifikācija

Incidentiem ir smaguma skala ar skaidriem sliekšņiem - Skala nosaka reakcijas ātrumu, tāpēc tā ir vajadzīga pirms incidenta, ne tā laikā.
Ir zināms, kad incidents kļūst nozīmīgs - Apdraudēta sabiedrības veselība vai drošība, zaudējumi vismaz 500 000 euro vai 5 % no apgrozījuma, kaitējums dzīvībai vai veselībai, ietekme uz ierobežotas pieejamības informāciju, būtiska pakalpojuma traucējumi vai pārrobežu ietekme.
Incidents tiek reģistrēts žurnālā 24 stundu laikā no konstatēšanas - Termiņu skaita no brīža, kad incidents ir konstatēts.
Ierakstā ir konstatēšanas laiks, veids, apraksts, cēloņi, ietekme un statuss - Turpat atzīmē arī to, vai incidents ir nozīmīgs.
Eskalācijas ceļš uz vadību ir noteikts ar termiņu - Vadība uzzina no procesa, ne no ziņu portāla.
Tiek novērtēts, vai skarti personas dati - Novērtējums sākas uzreiz, jo tam ir atsevišķs adresāts un atsevišķs termiņš.
Lēmums par klasifikāciju tiek fiksēts ar laiku un pieņēmēju - Vēlāk pārbauda, vai lēmums bija pamatots ar to informāciju, kas tobrīd bija pieejama.

4. Ierobežošana

Skartā sistēma tiek atvienota no tīkla, nevis izslēgta - Izslēgšana iznīcina operatīvo atmiņu, kas bieži ir vienīgā vieta, kur notikušais vēl ir redzams.
Skartās paroles un atslēgas tiek nomainītas - Arī tās, kas ir koplietotas ar citām sistēmām.
Aktīvās sesijas un pilnvaras tiek atsauktas - Paroles maiņa neizbeidz jau izsniegtu sesiju vai piekļuves pilnvaru.
Zināmie iekļūšanas ceļi tiek bloķēti tīkla robežā - Un bloķējums tiek pierakstīts, lai to vēlāk atceltu.
Tiek pārbaudīts, vai skartas blakus sistēmas - Viena kompromitēta iekārta reti ir vienīgā.
Katra incidenta laikā veiktā izmaiņa tiek pierakstīta ar laiku - Bez tā pēc trim dienām neviens nezina, kas tika mainīts un ko drīkst atgriezt.
Ir izlemts, vai uzbrucēju bloķēt uzreiz vai novērot - Novērošana dod informāciju, bet pagarina piekļuvi. Šo izvēli izdara apzināti, ne nejauši.

5. Pierādījumi un izmeklēšana

Diska un atmiņas attēls tiek izveidots pirms tīrīšanas - Tīrīšana ir neatgriezeniska, attēla izveide - nav.
Žurnāli tiek saglabāti ārpus skartās sistēmas - Uzbrucējs, kurš ir sistēmā, var tos izdzēst.
Pierādījumu glabāšanas ķēde tiek dokumentēta - Kas paņēma, kad, kur tas glabājas un kas tam ir piekļuvis.
Izmeklēšana notiek ar kopiju, ne ar oriģinālu - Oriģināls paliek neaiztikts arī tiesvedības gadījumam.
Tiek meklēts sākotnējais iekļūšanas ceļš, ne tikai sekas - Novērstas sekas bez novērsta cēloņa ir atkārtots incidents.
Tiek noteikts, kādi dati un sistēmas ir skartas - Bez apjoma nevar ne ziņot precīzi, ne informēt skartos cilvēkus.
Žurnāli tiek glabāti pietiekami ilgi, lai incidentu varētu izmeklēt - Iekļūšanu bieži atklāj mēnešus pēc tam, kad tā notikusi.

6. Izskaušana un atjaunošana

Cēlonis ir novērsts pirms sistēmas atgriešanas darbā - Citādi atjaunotā sistēma tiek kompromitēta pa to pašu ceļu.
Atjaunošana notiek no kopijas, par kuru ir zināms, ka tā ir tīra - Kopija, kas izveidota pēc iekļūšanas, var saturēt to pašu piekļuvi.
Rezerves kopijas atjaunošana ir pārbaudīta iepriekš - Kopija, kas nav atjaunota, nav kopija.
Rezerves kopijas nav sasniedzamas no ikdienas darba vides - Datu šifrēšanas uzbrukums vispirms meklē tieši tās.
Atjaunošanas secība ir noteikta pēc pakalpojuma svarīguma - Pretējā gadījumā vispirms atgriežas tas, ko atjaunot ir vieglāk, ne tas, kas ir vajadzīgs.
Pirms atgriešanas darbā sistēma tiek pārbaudīta - Gan darbība, gan tas, ka uzbrucēja piekļuves vairs nav.
Pēc atgriešanas uzraudzība ir pastiprināta noteiktu laiku - Uzbrucējs bieži mēģina atgriezties pa to pašu ceļu.

7. Ziņošana un komunikācija

Nozīmīgam incidentam agrīnais brīdinājums tiek nosūtīts 24 stundu laikā - Adresāts ir kompetentā kiberincidentu novēršanas institūcija, un veidlapu paraksta ar drošu elektronisko parakstu.
Sākotnējais ziņojums tiek iesniegts 72 stundu laikā - Tas ir cits ziņojums un cita veidlapa, ne agrīnā brīdinājuma atkārtojums.
Galaziņojums tiek iesniegts mēneša laikā - Ja incidents tik ātri nav atrisināts, vispirms iesniedz progresa ziņojumu un galaziņojumu pēc atrisināšanas.
Par nenozīmīgu incidentu tiek ziņots brīvā formā - Slieksnis nav sasniegts, bet ziņošanas pienākums paliek.
Ja skarti personas dati, Datu valsts inspekcija tiek informēta 72 stundu laikā - Atsevišķs adresāts un atsevišķs pienākums, ne tas pats ziņojums.
Skartie cilvēki un klienti tiek informēti, kad incidents tos ietekmē - Ar to, ko viņi var izdarīt paši, ne tikai ar faktu, ka kaut kas noticis.
Saziņa incidenta laikā notiek pa kanālu ārpus skartās vides - Ja uzbrucējs lasa e-pastu, plāns tiek apspriests viņa klātbūtnē.
Publiskai saziņai ir viens sagatavots runātājs - Sagatavots paziņojuma melnraksts ietaupa stundas tieši tad, kad to nav.

8. Pēcincidenta mācības

Pēc incidenta notiek apspriede noteiktā termiņā - Kamēr detaļas vēl atceras, ne ceturkšņa pārskata laikā.
Incidents tiek pievienots reģistram ar iznākumu un izmaksām - Izmaksas ir tas arguments, ar ko nākamo uzlabojumu apstiprina.
Plāns tiek labots tur, kur tas neizturēja - Nemainīts plāns pēc incidenta nozīmē, ka mācību nebija.
No incidenta izriet konkrētas izmaiņas kontrolēs ar atbildīgo un termiņu - Apspriede bez uzdevuma ir saruna.
Reaģēšana tiek trenēta uz izdomāta scenārija vismaz reizi gadā - Pirmā reize nedrīkst sakrist ar īstu incidentu.
Kontaktu saraksts un piekļuves tiek pārbaudītas pēc katrām mācībām - Novecojis numurs atklājas tieši tad, kad pa to zvana.
Tiek mērīts laiks no atklāšanas līdz ierobežošanai - Skaitlis, kas nemainās, rāda, ka mācības neko nemaina.