Cyberövervakning
Incidentrespons i praktiken
Incidentrespons fungerar bäst när kontaktvägar, beslut och tekniska behörigheter redan är överenskomna. Då behöver teamet inte börja förhandla om ansvar mitt i en säkerhetshändelse.
1. En signal behöver sammanhang
En teknisk signal är en utgångspunkt, inte ett färdigt incidentbeslut. Den behöver bedömas mot berörd enhet, identitet, tidpunkt och andra tillgängliga händelser innan rätt prioritet kan sättas.
2. Triage skiljer brus från avvikelse
Triage avgör om händelsen kan stängas, behöver följas eller ska eskaleras. Bedömningen och underlaget ska dokumenteras så att nästa person förstår vad som har observerats.
3. Mandatet styr åtgärden
Ett avtalat mandat kan tillåta att en endpoint isoleras, en indikator blockeras eller ett konto stängs av. Åtgärder utanför mandatet går till kundens utsedda beslutsfattare.
För varje åtgärdstyp bör avtalet ange vem som beslutar, vem som utför, hur kunden kontaktas och vad som händer om kontaktpersonen inte svarar.
4. Återställning är en egen arbetsfas
Containment begränsar händelsen. Forensik och återställning kan kräva ytterligare arbete och ska därför vara tydligt inkluderat, begränsat eller separat offererat innan tjänsten startar.
5. Uppföljningen ska gå att använda
Efter incidenten behöver verksamheten förstå vad som hände, vilka åtgärder som genomfördes och vilka öppna risker som återstår. Uppföljningen ska leda till konkreta ägare och nästa steg.
Läs vidare