Nosakiet koordinatoru un viņa aizvietotāju, vienojieties par uzticamu saziņas veidu un to, kurš drīkst pieņemt pirmos lēmumus. Pēc tam kopā ar komandu izspēlējiet ticamu situāciju.
Nosakiet iesaistāmos cilvēkus
Izvēlieties incidenta koordinatoru un viņa aizvietotāju. Pierakstiet IT komandas, būtisko pakalpojumu sniedzēju un uzņēmuma lēmuma pieņēmēja kontaktus. Pilnvarotajiem cilvēkiem sarakstam jābūt pieejamam arī tad, ja ierastās sistēmas nedarbojas.
CIS 17. kontrole uzsver, ka jānosaka par incidentu risināšanu atbildīgās personas un ziņošanas kontakti. Nelielā uzņēmumā viens cilvēks var pildīt vairākas lomas, tomēr katras lomas pienākumiem jābūt skaidriem.
Sagatavojiet alternatīvu saziņu
Izvēlieties rezerves saziņas kanālu gadījumam, ja uzņēmuma e-pastam vai ierastajai saziņas sistēmai nevar piekļūt vai uzticēties. Norādiet, kā dalībnieki pārbauda cits cita identitāti un kurš sazinās ar darbiniekiem, klientiem vai ārējām personām.
Plānā nosakiet arī atbildīgo par ārējās ziņošanas pienākumu pārbaudi. Prasības ir atkarīgas no incidenta un organizācijas. Vispārīgā veidnē ierakstīts termiņš nevar aizstāt šo izvērtējumu.
Veidojiet vienkāršu incidenta pierakstu
Faktus, lēmumus un vēl veicamos darbus fiksējiet vienuviet. Katram ierakstam norādiet laiku un atbildīgo. Apstiprinātos faktus nošķiriet no pieņēmumiem, lai vēlāk varētu saprast lēmumu pamatojumu.
Vienojieties, kā pilnvarotā komanda saglabās būtiskos ierakstus. Izvairieties no izmaiņām, kas var iznīcināt izmeklēšanai vajadzīgo informāciju, ja vien pieņemtais reaģēšanas lēmums tās neprasa.
| Ko fiksēt | Noderīga informācija |
|---|---|
| Kas ir zināms | Skartās sistēmas, novērojumi, laiki un atsauces uz pierādījumiem |
| Kas ir nolemts | Darbība, pamatojums un apstiprinātājs |
| Kas jādara tālāk | Uzdevums, atbildīgais un nākamās informācijas sniegšanas laiks |
Izmēģiniet plānu ar īsu scenāriju
Sapulciniet iesaistāmos cilvēkus un aprakstiet ticamu problēmu. Piemēram, darbinieks ziņo par neierastu pieslēgšanos kontam, bet ierastais IT atbildīgais nav sasniedzams.
Jautājiet, kurš saņem ziņu, kurš pārbauda notikušo, kurš apstiprina ierobežojumus un kurš informē pārējos par situācijas attīstību. Fiksējiet trūkumus plānā. Sarunas mērķis ir pārbaudīt kārtību, nevis vērtēt atsevišķus darbiniekus.
Nosakiet uzlabojumus un pārskatiet plānu
Pēc sarunas izveidojiet īsu uzlabojumu sarakstu un katram darbam nosakiet atbildīgo. Papildiniet kontaktu sarakstu, pārbaudiet kontaktinformāciju un precizējiet neskaidrās pilnvaras. Pēc tam atjauniniet rīcības plānu.
NIST SP 800-61 trešā redakcija iekļauj incidentu risināšanu plašākā kiberdrošības risku pārvaldībā. Praktiski tas nozīmē uzturēt gatavību atbilstoši izmaiņām komandā, piegādātājos un sistēmās, nevis uzskatīt plānu par vienreiz pabeigtu dokumentu.